慶應義塾大学土屋教授と語る「サイバー空間における国家安全保障」

選挙防衛にサイバー軍が出動する時代

丸山：
土屋さんは国際政治学者という立場から、サイバー空間が国際安全保障にどのようなインパクトを与えるかについて研究されています。近年は国家組織の関与が疑われるようなサイバー攻撃が急増していますが、現在、土屋さんが一番関心を寄せている国際的な動向は何でしょうか。

土屋：
サイバー攻撃に対する米国の対応は常に注目しています。「政治」と「サイバー」の観点から見て興味深いのは、大統領選挙です。2016年の大統領選挙では、米国と対立する他国からの干渉が指摘されました。2020年の選挙でも同様の干渉が懸念されていましたが、実際にはほとんどなかったと聞いています。

米国には16分野の重要インフラがあります。政府施設もそのひとつです。バラク・オバマ元大統領は、自身が退任する直前の2017年1月に、選挙を国土安全保障省が担当する政府施設のサブセクターと位置づけました。その目的は、米国連邦軍が選挙インフラを防衛できる体制とし、米国サイバー軍が選挙インフラに対する外部からの攻撃を阻止できるようにするためです。

2018年の中間選挙においては、多くの選挙干渉を米国サイバー軍が防衛したと報じられています。中間選挙を乗り切った後、米国サイバー軍司令官のポール・ナカソネ（Paul Nakasone）氏は、「2020年の大統領選挙防衛はサイバー軍にとって最も優先順位が高い任務である」と公言していました。

丸山：
日本と米国のサイバーセキュリティ対策には、選挙という側面から見ても、大きな違いを感じますね。直近では、米国の重要インフラがランサムウェア攻撃に遭った際に身代金として支払ったビットコインの大半を、米司法省が追跡して押収したと報じられました。報道によると、FBI（米国連邦捜査局）は支払ったビットコインの秘密鍵を入手し、差し押さえに成功したそうです。

土屋：
「FBIがビットコインの大半を押収した」との報道には驚きました。一連の事件で私が感心したのは、米国サイバー軍の迅速な関与です。彼らは、攻撃の事実が明らかになった瞬間に、「Persistent Engagement（必要な関与）」と彼らが呼ぶ対応をしています。この出来事は、米国がサイバー空間を「国家として守るべき重要領域」と位置づけていることを、改めて世界に印象付けるものでした。

国家・業界・組織の枠を超え、安全なサイバー空間の実現を

丸山：
今後、国の安全保障を脅かすようなサイバー攻撃は、どのようなものがあると想定していますか。

土屋：
これからの時代に考えなければならないのが、「私たちの頭の中」です。思考や知識、常識といったものがサイバー攻撃の影響を受けていないか、気をつける必要があります。

丸山：
それはフェイクニュースや世論の誘導、フィルターバブルのようなことでしょうか。

土屋：
はい。2020年の米国大統領選挙では、さまざまな陰謀論がサイバー空間に溢れました。それらの主張は部外者から見ると荒唐無稽ですが、陰謀論に傾倒してしまっている人は「信じてない人たちが間違いだ」と妄信してしまっていたのです。

陰謀論を唱える団体は、サイバー上で信奉者を増やすケースが少なくなく、また誰が首謀者なのかもはっきりしていないケースがほとんどです。これはある意味選挙干渉と同じ構図だと思います。つまり、誰が流しているのかわからないフェイクニュースや、実体のないコミュニティ内の議論を見続けるうちに、人々は洗脳された状態になってしまうのです。

少し前は「日本は言葉の壁があるから外国で作られたフェイクニュースの影響は少ない」と言われていましたが、今は翻訳技術の性能が良くなっていますし、ネイティブスピーカーが協力している場合もあります。ですから、「言葉の壁が守ってくれる」という考えは通用しなくなります。

丸山：
極端に言うと、自分が目にするものを全て疑わなければならなくなります。そのような事態を招くサイバー攻撃に対し、どのような対策を講じていくのかは、国家レベルで取り組まなければならない課題でしょう。

実際、世界中のCEOはサイバー攻撃をビジネス成長の脅威と捉えており、その傾向は年々強くなっています。2021年1月から2月にかけてPwCが実施した「第24回世界CEO意識調査」によると、北米や西欧のCEOは、自社の成長見通しに対する脅威のトップに「サイバー攻撃」を挙げています。

また、PwCが2020年に日本で行った同様の調査では「サイバー攻撃」を脅威に挙げたCEOは全体の26％でしたが、2021年には48％に急伸しています。この背景にはサイバー攻撃が高度化していること、そして、サイバー犯罪者が国をまたいだチームワークで攻撃を仕掛けてくることが挙げられます。

例えば、フィッシングをトリガーに金銭を詐取する攻撃でも、偽メールの文面を考える人、偽サイトをデザインする人、ターゲットを決める人、マルウェアを仕込む人、と分業されています。そしてだまし取った金銭を山分けするのです。攻撃者はすでに「金儲けのエコシステム」を確立しており、“ビジネス”として効率的に運用しています。これでは一国の警察や捜査機関が取り締まることは困難です。

土屋：
私は国境を越えた捜査機関の連携が必要だと考えています。国際刑事警察機構（インターポール）には190を超える国が加盟しており、目的意識が明確なプラクティカルな組織であるため、迅速な対応が可能です。これが各国の警察組織や外交機関であれば、それぞれの「国益」や「政治的配慮」が加味されて連携が難しくなり、迅速に対応できないと思います。

丸山：
IT業界でも一致団結して対抗していく動きがありますね。例えば、IT企業やセキュリティ企業が参加するサイバーセキュリティテック協定（Cybersecurity Tech Accord）は、サイバー空間での侵害行為や攻撃から、一般市民や組織を守ることを目的に設立されました。この協定は、具体的な活動内容として、協定加盟社同士の相互協力を明確にうたっています。

さらに、サイバーセキュリティテック協定では、セキュリティ対策強化を目的としたユーザー、顧客、開発者に対する支援も活動内容に入れています。今後はこうした共助の姿勢が重要になることは間違いありません。PwCとしても、サイバー空間の安全を守り抜く活動に、組織の枠を超えて取り組んでいきたいと考えています。